Das CVE-Programm war nach Einschätzung von Eric Geller das am häufigsten aufgegriffene Thema der von ihm besuchten Sessions. Der Streitpunkt: Wie geht ein seit Jahrzehnten gewachsenes System mit einer Flut von Schwachstellenmeldungen um, die KI-Werkzeuge in nie dagewesenem Tempo produzieren? Die einen verwiesen darauf, dass das Programm schon einmal skaliert habe – etwa als Fuzzing aufkam und die Zahl gefundener Bugs sprunghaft stieg. Die anderen halten die Lage für kategorial anders: Es brauche einen neuen Ansatz zur Katalogisierung, weil viele Meldungen fehlerhaft seien, KI-Werkzeuge Schwachstellen halluzinierten oder sie schlecht beschrieben.
Der zweite große Strang war Governance. Aus der Regierung waren nur wenige hochrangige Vertreter anwesend; deren Botschaft lautete, KI könne sich derzeit weitgehend selbst regulieren, man werde aber genau hinsehen, damit kein besonders mächtiges Werkzeug eine Krise auslöse. Auf Gellers Nachfrage in einer Panel-Diskussion antwortete ein Vertreter des Department of Homeland Security sinngemäß: Man verfolge tatsächlich einen zurückhaltenden Kurs, habe der Industrie aber klargemacht, dass man sie „keine Terminator-Fabrik bauen“ lasse. Wie genau das verhindert werden soll, blieb offen – eine belastbare Antwort gab es nicht.
Einen Versuch, diese Lücke zu schließen, unternahmen Fred Heiding und der frühere NSA-Direktor Chris Inglis mit einem eigenen Framework, das laut Bracken die Grundzüge dessen erfasst, wogegen der Staat aus Sicht vieler schützen sollte – bislang allerdings noch vage.
Auf der Verteidigungsseite nannte Bracken drei konkrete Ansätze: Ed Skoudis vom SANS Institute wirbt für „VulnOps“, also die Übertragung von SecDevOps auf das Schwachstellenmanagement, um Patching im KI-Zeitalter zu beschleunigen. Heather Barnhart, ebenfalls SANS, sprach über die Notwendigkeit, offensive KI-Agenten auszubremsen. Und der Forscher Jake Williams veröffentlichte ein frei verfügbares „Custody Framework“, das KI-Agenten in ihrer Umgebung halten soll – klassische Verteidigung ist darauf ausgelegt, Schädliches draußen zu halten, nicht umgekehrt.
Aus dem Network Operations Center der Konferenz berichtete Irei, dass beobachtete KI-gestützte Angriffe bislang ausgesprochen laut und auffällig seien – gut für Verteidiger. Ein Bedrohungsforscher von ServiceNow habe jedoch gesagt, in den vergangenen Wochen seien erstmals leise, langsam agierende KI-Angriffe aufgetaucht.
Geller relativierte die Bedrohungslage für die Mehrheit der Organisationen: Angreifer wählten stets den einfachsten Weg, und der sei meist ein Standardpasswort. Er verwies auf Wasserversorger, die trotz jahrelanger Warnungen ungesicherte, aus dem Internet erreichbare Infrastruktur betrieben. Für Rüstungsunternehmen seien hochentwickelte KI-Techniken relevant, für den durchschnittlichen Konzern liege die größte Schwäche anderswo.
Ein Beispiel aus dem NOC untermauert das: Ein Fortune-500-Unternehmen hatte einen MCP-Server für interne KI-Anwendungen ohne jede Autorisierung betrieben, das Token wurde im Klartext übertragen. Die NOC-Mitarbeiter hätten vollen Zugriff auf den kompletten Sicherheits-Stack gehabt und alles löschen können. Für Geller ist das kein KI-Risiko, sondern ein klassisches Versagen bei Sicherheitskontrollen – nur mit höherem Schadenspotenzial, weil KI-Werkzeuge inzwischen mit allem verbunden werden. Brackens Fazit: Die Gegenmittel blieben Asset-Inventar und Segmentierung, also die Grundlagen.